CN101237353A

CN101237353A - 一种利用usbkey监控移动存储设备的方法和系统

Info

Publication number: CN101237353A
Application number: CNA2007101215157A
Authority: CN
Inventors: 陆舟; 于华章
Original assignee: Beijing Feitian Technologies Co Ltd
Current assignee: Feitian Technologies Co Ltd
Priority date: 2007-09-07
Filing date: 2007-09-07
Publication date: 2008-08-06
Anticipated expiration: 2027-09-07
Also published as: CN101237353B

Abstract

能够监控并记录移动存储设备和计算机之间的文件操作信息，并且将相关操作信息保存到授权USBKEY的利用USBKEY监控移动存储设备的方法。技术方案是：包括以下步骤：监控程序阻断计算机和移动存储设备之间的文件操作；当监控程序检测到授权USBKEY与计算机连接时，解除阻断；如果监控程序检测到授权USBKEY与计算机的连接中断，重新将计算机和移动存储设备之间的文件操作阻断。本发明还提供利用USBKEY监控移动存储设备的系统，其特征是所述系统包括监控模块和授权USBKEY；所述监控模块包括阻断子模块、认证子模块，所述授权USBKEY包括接收模块、存储模块。

Description

一种利用USBKEY监控移动存储设备的方法和系统

技术领域

本发明涉及信息安全领域，特别是指一种利用USBKEY监控移动存储设备的方法和系统。

背景技术

随着计算机的高速发展，越来越多的国家企业、事业单位将涉密的敏感信息文件存储在计算机中，特别是在政府部委、军工单位、军队和事业单位中，这在一定程度上方便了对涉密敏感信息的管理，但是一旦出现以下问题，却很难追究责任：

第一个问题是：内部人员可以轻松地将计算机中的涉密敏感信息通过移动存储设备读取等方式泄露出去，一旦这些涉密敏感信息流失到敌对势力、竞争对手手中，将给国家、企业、事业单位造成重大损失；

第二个问题是：内部人员也可以轻易地向涉密计算机中写信息，如果写入的信息带有病毒、木马等，也将会破坏涉密计算机中的涉密敏感信息，给国家、企业、事业单位造成重大损失。

目前，尽管国家制定了很多相关的规章制度，并明确规定这些企业事业单位的涉密计算机必须采取相应的安全防护措施，但是仅靠传统的行政管理措施已不能满足要求。究其原因，主要是缺乏与涉密计算机连接的移动存储设备的监控、缺乏对相关记录信息进行安全记录，而缺乏对相关记录信息进行安全记录，就没有办法进行审计(审计是对终端用户使用计算机系统进行的所有操作活动进行的记录的分析，利用审计记录我们可以了解计算机系统曾经怎样的被使用)，这样，一旦出现泄密问题就很难追究责任，不利于对涉密敏感信息的管理。

智能密钥设备是一种带有处理器和存储器的小型硬件装置，它采用双因子认证模式，使用简单、成本较低。它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用智能密钥设备内置的密码算法实现对用户身份的认证。智能密钥设备具有电子邮件加密、数字签名、安全证书、安全网络登录和访问SSL(Security Socket Layer，安全套接层协议层)安全网络等功能，并且具有保证用户的私钥永远不离开硬件的特征，还具有物理上防攻击的特性，安全性极高。因为智能密钥设备通常是USB接口的，所以智能密钥设备也叫USBKEY。

发明内容：

为了解决存储在计算机中的涉密敏感信息被泄漏以及泄漏后难以追查责任的问题，本发明提供了一种能够监控并记录对涉密计算机的记录信息、并且将相关记录信息保存到授权USBKEY的利用USBKEY监控移动存储设备的方法。

本发明的技术方案是：一种利用USBKEY监控移动存储设备的方法，其特征是包括以下步骤：

步骤1、启动监控程序，监控程序阻断计算机和移动存储设备之间的文件操作；

步骤2、监控程序检测授权USBKEY是否与所述计算机连接，当监控程序检测到授权USBKEY与所述计算机连接时，解除计算机和移动存储设备之间文件操作的阻断；

步骤3、如果监控程序判断授权USBKEY与计算机的连接中断，重新将计算机和移动存储设备之间的文件操作阻断。

还包括下列步骤：

(1)、阻断解除后，监控程序监控所述移动存储设备与所述计算机之间的文件操作，并生成所述操作的记录信息；

(2)、监控程序将步骤(1)中生成的记录信息发送给所述授权USBKEY，所述授权USBKEY接收所述记录信息并存储。

所述监控程序通过公钥机制或挑战应答的方式判断所述USBKEY是否为与之相对应的授权USBKEY。

所述记录信息包括对所述计算机中文件进行操作的移动存储设备的硬件序列号、被操作文件的文件名、路径、操作类型和对所述计算机中文件进行操作的时间。

所述监控程序把所述记录信息发送给授权USBKEY之前还包括对所述记录信息进行加密的步骤。

所述授权USBKEY接收所述记录信息之前还包括对所述记录信息进行智能密钥处理的步骤。

所述智能密钥处理包括加密和数字签名。

所述授权USBKEY的保管人员通过身份认证后，可以读取所述授权USBKEY中的信息。

所述身份认证包括PIN码认证方式和生物特征认证方式。

利用USBKEY监控移动存储设备的系统，其特征是所述系统包括监控模块和授权USBKEY；

所述监控模块包括阻断子模块、认证子模块，所述阻断子模块用于阻断计算机和移动存储设备之间的文件操作；所述认证子模块用于认证与所述计算机相连接的USBKEY是否为授权USBKEY；

所述授权USBKEY包括接收模块、存储模块，所述接收模块用于接收所述计算机发送的认证授权USBKEY的认证信息；所述存储模块用于存储授权USBKEY内部的程序。

所述监控模块还包括检测子模块和记录信息生成子模块；

所述检测子模块用于监控所述计算机与所述移动存储设备之间的文件操作。

所述记录信息生成子模块用于根据所述计算机与所述移动存储设备之间的文件操作，生成记录信息并将所述记录信息发送给所述授权USBKEY；

所述接收模块还用于接收由所述计算机与所述移动存储设备之间的文件操作生成的记录信息。

所述存储模块还用于存储所述授权USBKEY的授权信息和经所述授权USBKEY处理后的所述记录信息。

所述授权USBKEY还包括智能密钥处理模块和身份认证模块；

所述智能密钥处理模块用于对由所述计算机和所述移动存储设备之间的文件操作生成的记录信息进行智能密钥处理；

所述身份认证模块用于认证所述授权USBKEY保管人的身份。

所述认证模块通过公钥机制或挑战应答的方式判断所述USBKEY是否为授权USBKEY。

所述操作的记录信息包括对所述计算机中文件进行操作的移动存储设备的硬件序列号、被操作文件的文件名、路径、操作类型和对所述计算机中文件进行操作的时间。

所述监控模块把所述记录信息发送给授权USBKEY之前，对所述记录信息进行加密。

所述智能密钥处理包括加密和数字签名。

所述认证所述授权USBKEY保管人的身份所用认证方式包括PIN码认证方式和生物特征认证方式。

本发明的有益效果：本发明通过在涉密计算机上安装运行监控程序，能够根据授权USBKEY的插拔情况控制计算机和移动存储设备之间文件操作，加强了涉密计算机中涉密信息的安全性，同时，还能够利用授权USBKEY记录有关人员对涉密计算机中的信息进行的操作，在监控系统监控到有关人员对涉密计算机中信息的操作后，能够生成相关操作的记录信息，并将其经智能密钥处理后存储在USBKEY中，如果出现存储在涉密计算机中涉密敏感信息被泄漏的问题需要追究责任时，就可以通过USBKEY记录查找相关责任人，为明确责任提供了依据。

下面结合附图和实施例对本发明做进一步的说明。

附图说明

附图1是一种利用USBKEY监控移动存储设备的方法的流程图。

附图2是一种利用USBKEY监控移动存储设备的系统的结构框图。

具体实施方式

为了更清楚地说明本发明一种利用USBKEY监控移动存储设备的方法，下面结合附图和优选实施例对其作进一步解释，但不应理解为对本发明的限制。

本发明提供的一种利用USBKEY监控移动存储设备的方法优选实施例。

在本实施例中，优选地，涉密计算机A上存储有文件名称为X1、X2的涉密文件，X1、X2有共同的路径：D:\张王李赵，还存有其它不涉密的文件X3、X4等，授权USBKEY中存储有公私钥对，该授权USBKEY由国有企业或事业单位中的特定的人进行保管，企事业单位可以根据管理的需要选择由部门经理或涉密文件的主要负责人管理该授权USBKEY，管理人可以在通过身份认证(PIN码认证)后读取存储在授权USBKEY中的审计记录信息，以便于在出现泄密事件后查找原因，企事业单位的其它人员需要利用授权USBKEY进行工作的时候，需要先向授权USBKEY管理人借用，授权USBKEY只能帮助其它人员解除监控程序对涉密计算机和移动存储设备之间的文件操作的阻断，而不能读取授权USBKEY中存储的审计记录信息。

如附图1所示，在本优选实施例中，一种利用USBKEY监控移动存储设备的方法包括以下步骤：

步骤101：在涉密计算机A上安装监控程序，在USB功能驱动程序上层加入过滤驱动程序；

步骤102：监控程序运行起来后，未检测到授权USBKEY设备时，则由过滤驱动程序阻断计算机与USB设备之间的文件操作，这样有效防止了涉密计算机A中的信息遭受移动存储设备的文件操作，

步骤103：监控程序继续判断是否有授权USBKEY插入，如果没有，则监控程序再判断是否有授权USBKEY插入，并且在判断到有授权USBKEY插入之前一直阻断涉密计算机A和移动存储设备之间的文件操作，如果有授权USBKEY与涉密计算机连接，则执行步骤104，

优选地，上述监控程序判断是否有授权USBKEY插入的具体步骤为：

a：USBKEY连接到涉密计算机A；

b：监控程序产生一个随机数并发送该随机数给USBKEY；

c：USBKEY接收由监控程序发送来的随机数并利用私钥对该随机数进行加密；

c：USBKEY将加密后的信息发送给监控程序；

d：监控程序利用预存的公钥解密USBKEY发送来的信息，得到解密后的信息Y，并比对Y和步骤b中监控程序产生并发送给USBKEY的随机数，如果两者一致，则说明授权USBKEY已插入涉密计算机A，如果两者不一致，则说明授权USBKEY还没有插入涉密计算机A。

实际应用中，监控程序也可以挑战应答的方式判断是否有授权USBKEY插入。

步骤104：监控程序解除涉密计算机A和移动存储设备之间的文件操作的阻断；

步骤105：监控程序继续监控是否有移动存储设备对涉密文件X1和X2的文件操作命令，如果没有，则循环执行步骤105，如果有，则执行步骤106；

步骤106：监控程序监控到硬件序列号为Z的存储装置U盘从涉密计算机A上复制了涉密文件X1和涉密文件X2，路径均为D:\张王李赵，操作类型读写，操作时间：2007年7月11号上午11点59分，周三。

监控程序记录相关操作，生成记录信息：存储装置U盘的硬件序列号Z，涉密文件名为，X1、X2涉密文件，被操作文件路径均为D:\张王李赵，操作类型读写，操作时间：2007年7月11号上午11点59分，周三；

步骤107：监控程序将生成的记录信息发送给授权USBKEY；

实际应用中，监控程序将生成的记录信息发送给授权USBKEY之前还可以进行加密。

步骤108：授权USBKEY接收监控程序发送来的记录信息并对其进行签名，然后存储签名过的记录信息。

由于监控程序监控到并生成了对涉密文件X1和涉密文件X2的进行复制操作的记录信息，而且将生成的信息经过智能密钥处理后存储在了授权USBKEY中，所以当出现泄密事件时，授权USBKEY管理人员可以在通过指纹认证后，通过审计记录在授权USBKEY中记录信息追查原因，明确责任。

实际应用中，在授权USBKEY对记录信息进行加密并存储后，还可以返回步骤105，处理移动存储设备和涉密计算机之间的其他文件操作。

步骤109：对涉密计算机操作结束后，取下授权USBKEY，断开授权USBKEY与涉密计算机的连接关系，监控程序检测到授权USBKEY与涉密计算机的连接关系断开后，执行步骤102，监控程序重新对涉密计算机进行阻断。

本发明提供的一种利用USBKEY监控移动存储设备的系统的优选实施例。

附图2是一种利用USBKEY监控移动存储设备的系统的结构框图，如图中所示，一种利用USBKEY监控移动存储设备的系统包括监控模块100和授权USBKEY200，其中，监控模块100包括用于阻断计算机的阻断子模块101、用于认证与计算机相连接的USBKEY是否为授权USBKEY的认证子模块102、用于监控移动存储设备与所述计算机之间的相关的文件操作的检测子模块103和用于生成有关操作的记录信息并将该操作的记录信息发送给授权USBKEY的记录信息生成子模块104，操作的记录信息包括对计算机中文件进行操作的移动存储设备的硬件序列号、被操作文件的文件名、路径、操作类型和对计算机中文件进行操作的时间；授权USBKEY200包括用于接收所述计算机对授权USBKEY认证的认证信息和操作的记录信息并将该操作的记录信息发送给智能密钥处理模块202的接收模块201，用于对操作的记录信息和对被进行文件操作的计算机中的文件信息进行加密的智能密钥处理模块202、用于存储授权信息和经智能密钥处理模块加密后的操作的记录信息的存储模块203和用于利用PIN码认证授权USBKEY保管人的身份认证模块204。

优选地，在本实施例中，认证模块102通过公钥机制的方式判断USBKEY是否为授权USBKEY，该授权USBKEY是指含有公私密钥对的USBKEY。

实际应用中，认证模块102可以通过挑战应答的方式认证连接到计算机上的USBKEY是否为授权USBKEY，存储在授权USBKEY中的授权信息也可以用证书来代替，智能密钥处理模块102对操作的相关信息进行加密处理可以用数字签名处理来代替，身份认证模块204也可以通过生物特征认证的方式认证USBKEY保管人的身份。

以上所述实施方式仅为本发明的优选实施例，本发明不限于上述实施例，对于本领域一般技术人员而言，在不背离本发明原理的前提下对它所做的任何显而易见的改动，都属于本发明的构思和所附权利要求的保护范围。

Claims

1、一种利用USBKEY监控移动存储设备的方法，其特征是包括以下步骤：

步骤2、监控程序检测授权USBKEY是否与所述计算机连接，当监控程序检测到授权USBKEY与所述计算机连接时，解除对计算机和移动存储设备之间文件操作的阻断；

2、根据权利要求1所述的利用USBKEY监控移动存储设备的方法，其特征是还包括下列步骤：

3、根据权利要求1或2所述的利用USBKEY监控移动存储设备的方法，其特征是所述监控程序通过公钥机制或挑战应答的方式判断所述USBKEY是否为与之相对应的授权USBKEY。

4、根据权利要求2所述的利用USBKEY监控移动存储设备的方法，其特征是所述记录信息包括对所述计算机中文件进行操作的移动存储设备的硬件序列号、被操作文件的文件名、路径、操作类型和对所述计算机中文件进行操作的时间。

5、根据权利要求2所述的利用USBKEY监控移动存储设备的方法，其特征是所述监控程序把所述记录信息发送给授权USBKEY之前还包括对所述记录信息进行加密的步骤。

6、根据权利要求2所述的利用USBKEY监控移动存储设备的方法，其特征是所述授权USBKEY接收所述记录信息之前还包括对所述记录信息进行智能密钥处理的步骤。

7、根据权利要求6所述的利用USBKEY监控移动存储设备的方法，其特征是所述智能密钥处理包括加密和数字签名。

8、根据权利要求1或2所述的利用USBKEY监控移动存储设备的方法，其特征是所述授权USBKEY的保管人员通过身份认证后，可以读取所述授权USBKEY中的信息。

9、根据权利要求8所述的利用USBKEY监控移动存储设备的方法，其特征是所述身份认证包括PIN码认证方式和生物特征认证方式。

10、一种利用USBKEY监控移动存储设备的系统，其特征是所述系统包括监控模块和授权USBKEY；

11、根据权利要求10所述的利用USBKEY监控移动存储设备的系统，其特征是所述监控模块还包括检测子模块和记录信息生成子模块；

12、根据权利要求10所述的利用USBKEY监控移动存储设备的系统，其特征是所述接收模块还用于接收由所述计算机与所述移动存储设备之间的文件操作生成的记录信息。

13、根据权利要求10所述的利用USBKEY监控移动存储设备的系统，其特征是所述存储模块还用于存储所述授权USBKEY的授权信息和经所述授权USBKEY处理后的所述记录信息。

14、根据权利要求10所述的利用USBKEY监控移动存储设备的系统，其特征是所述授权USBKEY还包括智能密钥处理模块和身份认证模块；所述智能密钥处理模块用于对由所述计算机和所述移动存储设备之间的文件操作生成的的记录信息进行智能密钥处理；

所述身份认证模块用于认证所述授权USBKEY保管人的身份。

15、根据权利要求10所述的利用USBKEY监控移动存储设备的系统，其特征是所述认证子模块通过公钥机制或挑战应答的方式判断所述USBKEY是否为授权USBKEY。

16、根据权利要求11所述的利用USBKEY监控移动存储设备的系统，其特征是所述操作的记录信息包括对所述计算机中文件进行操作的移动存储设备的硬件序列号、被操作文件的文件名、路径、操作类型和对所述计算机中文件进行操作的时间。

17、根据权利要求11所述的利用USBKEY监控移动存储设备的系统，其特征是所述记录信息生成子模块把所述记录信息发送给授权USBKEY之前，对所述记录信息进行加密。

18、根据权利要求14所述的利用USBKEY监控移动存储设备的系统，其特征是所述智能密钥处理包括加密和数字签名。

19、根据权利要求14所述的利用USBKEY监控移动存储设备的系统，其特征是所述认证所述授权USBKEY保管人的身份所用身份认证方式包括PIN码认证方式和生物特征认证方式。